ایمیلی که حساب تأمین‌کننده را عوض کرد؛ چک‌لیست تسویه امن

یک تأمین‌کننده قدیمی ایمیل می‌زند: «به دلیل تغییر حساب، از این پس مبالغ را به شماره شبای جدید واریز کنید.» فایل پرداخت به‌روزرسانی می‌شود، تیم مالی پرداخت را انجام می‌دهد و چند روز بعد، تأمین‌کننده واقعی تماس می‌گیرد: «چه پرداختی؟ ما حسابی عوض نکرده‌ایم.»

این یکی از رایج‌ترین الگوهای تقلب در پرداخت‌های B2B است. مهاجم به ایمیل یا مکاتبات دسترسی پیدا می‌کند، حساب مقصد را تغییر می‌دهد و از فاصله بین «تأیید درخواست» و «اجرای پرداخت» استفاده می‌کند. برای تیم مالی، مشکل فقط از دست دادن پول نیست؛ بازسازی اعتماد با تأمین‌کننده و پاسخ‌گویی داخلی هم هزینه دارد.

چرا پرداخت به تأمین‌کننده هدف خوبی برای تقلب است؟

پرداخت‌های B2B چند ویژگی دارند که آن‌ها را برای مهاجم جذاب می‌کند:

• مبالغ بالا: یک پرداخت موفق می‌تواند خسارت قابل توجهی ایجاد کند.
• تکرار و اعتماد: تأمین‌کننده قدیمی است و تیم مالی به او اعتماد دارد.
• ارتباط ایمیلی: تغییر حساب از طریق ایمیل، طبیعی به نظر می‌رسد.
• فوریت: درخواست پرداخت فوری، زمان بررسی را کم می‌کند.
• فاصله تأیید و اجرا: بین تأیید درخواست و اجرای پرداخت، فرصت تغییر اطلاعات وجود دارد.

به همین دلیل، تغییر حساب باید یک «رخداد» باشد، نه یک «ویرایش فیلد» در سیستم.

سناریوی تغییر حساب: چه چیزی باید هشدار می‌داد؟

در سناریوی بالا، چند نشانه وجود دارد:

• درخواست تغییر حساب از همان ایمیلی آمده که ممکن است در معرض دسترسی باشد.
• شماره حساب جدید به نام شرکت تأمین‌کننده نیست.
• درخواست با فوریت همراه است.
• هیچ تماس تلفنی یا تأییدیه رسمی جداگانه‌ای وجود ندارد.

هیچ‌کدام به‌تنهایی اثبات تقلب نیست، اما ترکیب آن‌ها باید فرایند تأیید را فعال کند.

چک‌لیست پیش از افزودن یا تسویه تأمین‌کننده

1. اطلاعات رسمی را دریافت کنید: نام حقوقی، شناسه ملی، نشانی و اطلاعات تماس.
2. ساختار شرکت را بررسی کنید: برای اشخاص حقوقی، مدیران و سهامداران را ببینید.
3. تغییرات رسمی را بررسی کنید: در صورت نیاز، آگهی‌های روزنامه رسمی.
4. هویت رابط را تأیید کنید: شخصی که قرارداد را امضا می‌کند یا اطلاعات بانکی می‌دهد.
5. هویت حساب مقصد را بررسی کنید: تطبیق کد ملی با شبا برای ذینفع نهایی.
6. وضعیت حساب را بررسی کنید: حساب در حال حاضر قابل استفاده است یا نه.
7. از کانال مستقل تأیید بگیرید: شماره حساب را با تماس تلفنی رسمی تأیید کنید.
8. مستندات را ثبت کنید: نتیجه هر بررسی و تاریخ آن را نگه دارید.

کنترل‌های داخلی که باید داشته باشید

• جداسازی وظایف: درخواست، تأیید و اجرا توسط افراد مختلف انجام شود.
• سقف پرداخت: برای تأمین‌کنندگان جدید یا حساب‌های تغییرکرده، سقف تعیین کنید.
• پرداخت آزمایشی: برای حساب جدید، ابتدا مبلغ کم واریز کنید.
• پورتال تأمین‌کننده: تغییر اطلاعات را از مسیر رسمی و احراز هویت‌شده انجام دهید.
• آموزش تیم: کارکنان باید الگوهای جعل ایمیل و فشار برای پرداخت فوری را بشناسند.
• پایش: پرداخت‌های غیرعادی و تغییرات مکرر حساب را رصد کنید.

نقش بررسی‌های هویتی

بررسی‌های هویتی جای کنترل داخلی را نمی‌گیرند، اما آن را تقویت می‌کنند:

• تطبیق هویت حساب: نشان می‌دهد حساب مقصد به همان شخص یا شرکت تعلق دارد یا نه.
• وضعیت حساب: نشان می‌دهد حساب در حال حاضر قابل استفاده است یا نه.
• ساختار شرکت: نشان می‌دهد چه کسانی شرکت را اداره و کنترل می‌کنند.
• بررسی افراد کلیدی: هویت مدیرعامل و امضاکنندگان اصلی را تأیید می‌کند.

برای آشنایی با ریسک حساب‌های اجاره‌ای، مقاله حساب‌های اجاره‌ای و شباهای پرخطر را ببینید. برای مطالعه لایه‌های مکمل، تطبیق کد ملی با شبا و وضعیت شبا را نیز ببینید.

مستندسازی و جداسازی وظایف

در هر تغییر حساب، این موارد را ثبت کنید:

• چه کسی تغییر را درخواست کرد؟
• چه کسی آن را تأیید کرد و از چه کانالی؟
• چه کسی پرداخت را اجرا کرد؟
• چه کسی در صورت بروز مشکل بررسی می‌کند؟

هرچه این نقش‌ها بیشتر از هم جدا باشند، احتمال سوءاستفاده داخلی و خطای انسانی کمتر می‌شود. مستندسازی همچنین در بازرسی‌ها و پیگیری‌های حقوقی ارزش دارد.

اگر پرداخت مشکوک انجام شد چه کنیم؟

اگر نشانه‌هایی از تغییر حساب جعلی دیدید، پرداخت را متوقف کنید، با بانک و تأمین‌کننده تماس بگیرید، مستندات را نگه دارید و موضوع را در کمیته ریسک مطرح کنید. سرعت واکنش می‌تواند شانس پیگیری و بازیابی وجه را افزایش دهد.

محدودیت‌ها

• بررسی‌ها احتمال خطا را کم می‌کنند، اما جای قرارداد، اسناد و بررسی حقوقی را نمی‌گیرند.
• ممکن است اطلاعات ثبت‌شده با واقعیت تفاوت داشته باشد یا با تأخیر به‌روز شود.
• نتیجه عدم تطابق می‌تواند ناشی از خطای داده باشد؛ آن را با بررسی دستی تأیید کنید.

جمع‌بندی

تغییر حساب تأمین‌کننده یک اتفاق کوچک نیست؛ یک نقطه تصمیم پرریسک است. با یک چک‌لیست ساده، تأیید از کانال مستقل و جداسازی وظایف، می‌توانید بیشترین خطاهای پرهزینه را پیش از وقوع حذف کنید. بررسی هویت و وضعیت حساب هم می‌تواند این فرایند را مستندتر و قابل اتکاتر کند.